Păstrați bazele de date MySQL în siguranță prin crearea de utilizatori și permisiuni separate

Am fost întotdeauna prietenul bunelor practici, cu atât mai mult dacă ne ajută să menținem securitatea serverelor, serviciilor sau pur și simplu informațiilor noastre.

Un obicei (rău obicei) pe care îl au mulți administratori sau utilizatori este acela de a folosi accesul rădăcină pentru toate bazele de date, adică ... instalează un site folosind WordPress CMS și ca date de acces la baza de date (pentru ca WP să folosească serverul MySQL și să-și folosească DB-ul) pun utilizatorului de administrare a serverului MySQL : rădăcină

De asemenea, instalează orice altă aplicație web (chat, paste, forum etc.) și fac același lucru, folosesc întotdeauna utilizatorul root al MySQL ...

EROARE!!!

Acesta este pur și simplu un obicei fatal.

Să presupunem că avem următoarele servicii pe un server:

1. Un site sau portal care utilizează WordPress.
2. Forumul nostru de sprijin, discuții, etc ... o întreagă comunitate.
3. Un FTP care utilizează o bază de date MySQL pentru a stoca utilizatori și parole.
4. Utilizatorii de e-mail sunt stocate (utilizatori și parole) într-o bază de date MySQL.
5. Un mic WebChat pe care îl instalăm pentru a discuta cu cineva pe care îl cunoașteți.

Și în toate, în cele 5 servicii folosim utilizatorul root MySQL astfel încât fiecare serviciu să acceseze și să salveze datele în baza sa de date corespunzătoare.

Într-o bună zi, oricare dintre numeroasele trolluri de acolo, dar acesta nu este doar un troll, dar stăpânește și unele exploate, vulnerabilități, hacking, etc ... decide să facă ceva dăunător pentru noi.

Găsiți o eroare în WebChat pe care o folosim, profitând de această eroare, reușește să acceseze fișierele WebChat, inclusiv fișierul de configurare WebChat și ... în acest fișier, evident, este numele de utilizator și parola pe care WebChat le folosește accesați serverul MySQL și ghiciți ce? … Nu este nimic mai mult și nimic mai puțin UTILIZATORUL ROOT!

Obținând aceste informații, într-un mod foarte simplu, trollul poate:

1. Ștergeți-ne și / sau furați tot ce are legătură cu site-ul sau portalul pe care îl avem (WordPress).
2. Puteți șterge și / sau fura informații de la noi ȘI de la utilizatorii noștri care folosesc Forumul, comunitatea pe care o creăm.
3. De asemenea, puteți fura numele de utilizator și parola TOȚI utilizatorii care au un cont de e-mail pe serverul nostru, precum și să furați informațiile din e-mailurile lor, identificați etc.
4. Și acum, în sfârșit, puteți utiliza un cont pe serverul nostru FTP și puteți încărca orice fișier care conține programe malware, ceea ce vă va permite să obțineți controlul ABSOLUT și TOTAL al serverului nostru.

Ei bine ... ce crezi? ... 🙂

Vedeți tot ce se poate întâmpla doar prin a nu crea utilizatori independenți pentru fiecare bază de date pe care o avem?

Aceasta nu este o exagerare prieteni, acest lucru se poate întâmpla cu o ușurință uimitoare ... ei bine, tot ce este necesar pentru a dezlănțui catastrofa este doar o eroare în una dintre aplicațiile web pe care le-ați instalat.

Acum…

Cum se creează utilizatori MySQL separați pentru fiecare aplicație web?

Mai întâi trebuie să introducem serverul MySQL împreună cu utilizatorul root, deoarece acesta este cel care are privilegiile de a crea baze de date, de a stabili permisiuni, de a crea utilizatori etc.:

mysql -u root -p

Când scriu cele de mai sus și apasă [Introduce] Li se va cere parola utilizatorului root MySQL, o tastează și apasă [Introduce] din nou, vi se va arăta instantaneu așa ceva:

Acum vom crea o bază de date numită «webchatdb„:
CREATE DATABASE webchatdb;

Gata, ați creat deja baza de date, acum să creăm utilizatorul «webchatuser«Cu parola«paroladelputowebchat„:

CREATE USER 'webchatuser'@'localhost' IDENTIFIED BY 'passworddelputowebchat';

Acum magia ... vom acorda toate privilegiile (citiți și scrieți) webchatuser DOAR în DB webchatdb:

GRANT ALL PRIVILEGES ON webchatdb.* TO 'webchatuser'@'localhost' WITH GRANT OPTION;

Și voilă, utilizatorul are deja permisiunile în baza de date ... acum rămâne doar să reîmprospătați permisiunile către MySQL, adică spuneți MySQL să recitească privilegiile utilizatorilor, deoarece tocmai am făcut o modificare în ele:

FLUSH PRIVILEGES ;

Vă las o captură de ecran:

Și asta a fost totul. Procedând astfel pentru fiecare aplicație web pe care o folosim, garantăm că în cazul în care reușesc să încalce una dintre acele aplicații web, celelalte vor fi în siguranță (cel puțin din punctul de vedere MySQL)

Ce este o bună practică? 😉

Sper că ți-a fost la fel de util pentru mine, pentru că am încercat să-l explic cât de simplu am putut.

În ceea ce priveşte